Hacker News Front Page · dyhkwong ·
Popular proxy software Xray-core covered up a certification verification bypass vulnerability for half a year · Issue #672 · net4people/bbs
El denunciante sostiene que Xray-core sustituyó una opción de certificate pinning por otra vulnerable, lo que permitió que un atacante insertara un certificado hoja en la cadena y eludiera la verificación. Afirma que los responsables corrigieron el problema en febrero de 2026 sin informar a los usuarios y que la corrección seguía siendo incompleta cuando presentó un aviso de seguridad en julio. El texto critica la gestión de seguridad del proyecto y advierte que los usuarios quedaron expuestos durante meses.
Disclaimer: I am the reporter of the vulnerability. Xray-core maintainers look down on "skip certificate verification" feature (i.e. the allowInsecure option in Xray-core) or similar options in pro...